网站被刷了几百G流量，阿里云账单直接爆了

我真是，自己搭了个小商城卖点手工艺品，用的阿里云轻量服务器，平时一个月流量费也就几十块。结果前天半夜突然收到短信说欠费了，登上去一看，好家伙，一晚上给我跑了四百多G的流量，账单直接飙到一千多。查了日志发现是被人拿脚本疯狂刷接口，就那个商品详情的API，一秒请求几百次，CPU直接拉满。我寻思我也没惹谁啊，就一个破网站，至于这么搞我吗？现在赶紧把CDN开了，又加了WAF规则，也不知道管不管用。各位搞独立站的朋友，你们平时都怎么防这种攻击的？有没有便宜好用的防护方案推荐下？